🛡️ Sentinel: [HIGH] API 경로 검증 단계의 Directory Traversal 취약점 수정

[seonghobae]

🚨 보안 심각도: 높음 (HIGH)
💡 취약점: services/analysis-engine/src/bandscope_analysis/api.py 파일의 API 요청 검증 단계에서, 사용자가 제어할 수 있는 로컬 데이터 경로(cacheRoot, tempRoot)가 경로 트래버설(..)을 통해 시스템 임의 디렉터리를 가리킬 수 있는 위험이 있었습니다.
🎯 영향: 악의적인 페이로드를 통해 어플리케이션이 지정하지 않은 디렉터리에 파일을 생성, 덮어쓰기하거나 캐시 파일로 잘못 처리하여 보안 위협을 발생시킬 수 있습니다.
🔧 수정 사항:

• 역슬래시(\)를 슬래시(/)로 강제 치환하여 플랫폼 상관없이 ..이 포함된 경로를 확실히 차단하도록 검증 로직을 추가했습니다.
• 보안 침해 시도가 발생할 경우 logger.warning을 통해 명시적인 보안 로그를 남기고 ValueError를 발생시켜 안전하게 차단합니다.
• services/analysis-engine/tests/test_api.py에 이 두 경로 트래버설 방어가 제대로 작동하는지 검증하는 테스트 케이스를 100% 테스트 커버리지를 준수하여 추가했습니다.
• 관련 학습 내용 및 방어 전략을 .jules/sentinel.md 저널에 기록했습니다.

✅ 검증 방법: uv run pytest 또는 ./scripts/harness/quickcheck.sh 명령을 통해 모든 테스트가 성공적으로 통과됨을 확인했습니다.

---

PR created automatically by Jules for task 17524967107876776352 started by @seonghobae

[google-labs-jules]

👋 Jules, reporting for duty! I'm here to lend a hand with this pull request.

When you start a review, I'll add a 👀 emoji to each comment to let you know I've read it. I'll focus on feedback directed at me and will do my best to stay out of conversations between you and other bots or reviewers to keep the noise down.

I'll push a commit with your requested changes shortly after. Please note there might be a delay between these steps, but rest assured I'm on the job!

For more direct control, you can switch me to Reactive Mode. When this mode is on, I will only act on comments where you specifically mention me with @jules. You can find this option in the Pull Request section of your global Jules UI settings. You can always switch back!

New to Jules? Learn more at jules.google/docs.

---

For security, I will only act on instructions from the user who triggered this task.

[opencode-agent]

OpenCode Review Overview

• Head SHA: 30e6c011a059e75607a033d57efc939abd99d75e
• Workflow run: 28857140398
• Workflow attempt: 1
• Gate result: APPROVE (exit 0)

Changed-File Evidence Map

flowchart LR
  PR["PR changed files"] --> Evidence["OpenCode bounded evidence"]
  Evidence --> S1["Changed file (3 files)"]
  S1 --> I1["repository behavior"]
  I1 --> R1["Review risk: Changed file (3 files)"]
  R1 --> V1["required checks"]
  Evidence --> S2["Test: test_api.py"]
  S2 --> I2["regression suite"]
  I2 --> R2["Review risk: Test: test_api.py"]
  R2 --> V2["targeted test run"]

Loading